Pixel de rastreamento: o remetente sabe que abri o e-mail?

O que um pixel de rastreamento realmente é

Não há tecnologia especial envolvida, e é exatamente por isso que ele está em toda parte. São três coisas comuns combinadas:

Uma imagem que ninguém deveria ver

Geralmente com um pixel de largura e transparente, ou um espaçador que parece parte do layout. Nada na imagem em si importa; ela existe para ser buscada.

Uma URL que pertence só a você

O endereço dessa imagem carrega um identificador único para a cópia da mensagem que foi enviada a você. Duas pessoas abrindo a mesma newsletter buscam duas URLs diferentes.

Um pedido que é o objetivo inteiro

Seu cliente de e-mail pede essa imagem ao servidor do remetente. O servidor não precisa responder de forma útil — só precisa anotar que foi solicitado, por quem, e quando.

Nada é instalado, nada é executado, e nenhuma regra é quebrada. É o comportamento comum de um cliente de e-mail exibindo uma imagem, transformado em sinal.

O que um único pedido conta ao remetente

Mais do que a maioria espera de uma imagem, e chega quer você responda ou não:

• Que o endereço está ativo e é lido por uma pessoa. O fato mais valioso de todos: ele tira o endereço de uma lista qualquer e o transforma em alvo confirmado, e endereços confirmados são vendidos e reutilizados.
• Quando você abriu — no segundo exato, e toda vez que abrir de novo. Abrir uma mensagem três vezes ao longo de uma semana são três pontos de dado sobre seus hábitos.
• Seu endereço IP, e por consequência mais ou menos onde você está e em qual rede. Não uma rua, geralmente uma cidade e um provedor.
• Seu dispositivo e cliente de e-mail, a partir do user agent que o pedido carrega.
• Que a mensagem viajou, quando a mesma URL única é buscada de dois lugares bem diferentes — que é como um encaminhamento se parece por fora.

O que ele não revela

Vale ser preciso aqui, porque o medo costuma ser maior do que o fato:

Não quem você é

Um pixel identifica a mensagem, não a pessoa. O que liga isso a um nome é o endereço para o qual foi enviado — e é justamente essa parte que um endereço descartável não entrega.

Não o que você fez depois

Abrir uma mensagem não diz nada sobre se você a leu, acreditou nela, ou agiu a partir dela. Só um clique diz isso.

Absolutamente nada, se ele nunca carrega

Um pixel que não é buscado não produz nenhum registro. Não há sinal alternativo, nenhuma nova tentativa e nenhum segundo canal — o silêncio é indistinguível de nunca ter recebido a mensagem.

Como esta caixa de entrada lida com isso

Imagens remotas ficam bloqueadas desde o momento em que a mensagem abre, e você as ativa para a mensagem à sua frente com um clique. O que vale a pena explicar é como, porque é o como que torna isso confiável:

O corpo de uma mensagem é HTML escrito por um desconhecido, então ele não é renderizado dentro da página. É servido a partir do próprio endereço, dentro de um frame isolado em sandbox, sob uma política própria — e é essa política que bloqueia as imagens:

Content-Security-Policy: default-src 'none'; style-src 'unsafe-inline';
                         img-src data:; media-src 'none'; font-src 'none';
                         script-src 'none'; form-action 'none';
                         frame-ancestors 'self'; base-uri 'none';
                         sandbox allow-popups allow-popups-to-escape-sandbox

Bloquear por política em vez de editar a mensagem é a decisão que importa. Reescrever HTML significa encontrar cada atributo capaz de buscar algo — src, srcset, background, uma URL dentro de uma regra de estilo — e esquecer um deles anula todo o esforço em silêncio. Uma política não precisa encontrar nada: nada pode ser buscado a menos que esteja nomeado, e só data: está nomeado.

Imagens embutidas continuam aparecendo

img-src data: é sempre permitido, porque uma imagem embutida dentro da mensagem não pede nada a ninguém. É por isso que algumas imagens aparecem mesmo com o bloqueio ativado.

Nada mais pode carregar

Nenhum script, nenhuma fonte remota, nenhum vídeo, nenhum frame aninhado, nenhum envio de formulário. Uma fonte hospedada pelo remetente é um pedido de rastreamento como qualquer outro, e também é bloqueada.

Uma imagem bloqueada deixa uma marca

Uma caixa discreta com hachuras, para que uma mensagem com uma imagem faltando não pareça quebrada — e só aparece quando o bloqueio está ativo, para que uma imagem legítima nunca seja desenhada sobre um fundo hachurado.

O frame também é isolado em sandbox, o que é uma proteção diferente para um problema diferente: a política impede a mensagem de alcançar para fora, e o sandbox impede que algo alcance para dentro. Nenhuma das duas depende de a outra estar certa.

O que outras caixas de entrada fazem a respeito

Bloquear não é a única abordagem, e a que a sua outra caixa de entrada adota decide o que um remetente realmente recebe de você. Existem três, e elas te protegem em graus bem diferentes:

Buscar a imagem em seu nome

O provedor de webmail pede cada imagem remota por conta própria e te entrega uma cópia. O remetente vê um pedido vindo do provedor, não de você, então seu endereço IP e sua localização ficam de fora — mas a abertura continua sendo registrada, e é registrada no momento em que a mensagem é exibida.

Buscar tudo, para todo mundo

Alguns clientes pré-carregam o conteúdo de toda mensagem que chega, seja ela aberta ou não. Essa é a mais forte das três para quem lê: um pixel que dispara para toda mensagem não conta ao remetente nada sobre quais foram lidas. É também por isso que as taxas de abertura deixaram de significar muita coisa.

Bloquear, e perguntar

O que a maioria dos clientes de desktop faz, e o que acontece aqui: nada remoto carrega até você autorizar. A diferença é que um proxy decide por você, e isto aqui não — o pedido simplesmente nunca é feito, a menos que você o faça.

Nenhuma das três exige nada do remetente, e nenhuma delas pode ser identificada de fora com certeza. Vale lembrar isso também no sentido contrário: se você envia e-mails e acompanha taxas de abertura, boa parte das suas aberturas são proxies, e boa parte das suas não-aberturas são pessoas que leram a mensagem com as imagens desligadas.

O rastreador que bloquear imagens não impede

Todo link em uma mensagem comercial pode carregar o mesmo identificador que o pixel carrega, e geralmente carrega. O endereço que você vê nem sempre é o endereço que você visita: ao clicar, você costuma cair primeiro num redirecionador que registra o clique e só então te encaminha.

Isso importa mais do que o pixel, nos dois sentidos. Um clique prova que uma pessoa leu a mensagem e decidiu agir, o que vale muito mais para um remetente do que uma abertura — e, ao contrário de uma abertura, está inteiramente sob o seu controle.

• Leia o destino antes de clicar. Passe o mouse por cima ou pressione e segure: um link cujo texto visível e destino real não batem já merece desconfiança por si só.
• Digite o destino você mesmo quando for um site que você já conhece. Ninguém precisa te levar até a página da sua própria conta.
• Nunca clique para cancelar inscrição de um e-mail que você nunca assinou. Em marketing legítimo isso funciona; numa mensagem enviada a um endereço adivinhado, isso é uma resposta, e confirma exatamente o que o pixel queria saber.

Os links aqui abrem em uma aba própria e não carregam referenciador (referrer), então o destino não fica sabendo qual mensagem te enviou. Isso protege a caixa de entrada — não o clique em si.

Confirmação de leitura, e por que nenhuma é enviada

Algumas mensagens pedem isso abertamente: um cabeçalho solicitando que seu cliente de e-mail confirme a entrega ou a leitura. Num cliente comum isso vira uma caixa de diálogo, e a resposta educada costuma ser a errada.

Aqui essa questão nem chega a existir. Este serviço só recebe — não há nenhum caminho de envio, então um pedido de confirmação não tem como ser respondido. Não é uma configuração que poderia ser ativada por engano; o recurso simplesmente não existe.

A versão em texto simples é a leitura mais silenciosa que existe

Quase toda mensagem formatada carrega uma cópia em texto simples junto com o HTML — remetentes incluem isso porque alguns clientes precisam dela. Ela não tem imagens, nem estilos, nem forma de buscar nada, então lê-la não faz absolutamente nenhum pedido.

A caixa de entrada oferece essa versão logo abaixo da mensagem. Para um código de confirmação ou um link que você já esperava, geralmente é a leitura mais rápida além de a mais silenciosa.

O que o próprio endereço revela

Tudo isso acima é sobre uma mensagem. O endereço é sobre todas elas, e é o sinal mais forte, de longe:

• Um único endereço usado em todo lugar amarra tudo junto. Duas empresas com o mesmo endereço são duas empresas com o mesmo identificador, mesmo que nunca troquem informações entre si. Um corretor de dados que compra as duas listas vive de comparar isso.
• Um endereço descartável não entrega a parte que te identifica, e é por isso que um pixel que dispara a partir dele conta ao remetente muito menos do que o mesmo pixel na sua caixa de entrada real.
• Um endereço por serviço transforma um vazamento em um nome. Quando e-mails começam a chegar no endereço que só uma empresa jamais teve, você sabe exatamente qual foi.

O guia sobre como se cadastrar sem usar seu endereço real cobre esse hábito com mais detalhes, incluindo o alias — um segundo endereço que entrega na caixa de entrada mas não consegue lê-la.

Cinco hábitos que realmente reduzem o que vaza

1. Deixe as imagens desligadas. Aqui elas já vêm desligadas por padrão; ativar para uma mensagem quando você precisa é uma decisão, não um padrão.
2. Leia a versão em texto simples quando a mensagem for um código, um link ou um recibo. Ela não consegue buscar nada.
3. Trate um clique como mais revelador do que uma abertura, e digite destinos conhecidos em vez de segui-los.
4. Use um endereço diferente por serviço, e distribua o alias em vez do endereço.
5. Apague a mensagem quando terminar com ela. Tudo some em 5 dias de qualquer forma, mas uma mensagem que você já resolveu não tem motivo para continuar ali.

Nada disso te torna invisível, e quem promete isso está vendendo alguma coisa. O que isso faz é remover os sinais fáceis, que é a parte que realmente está nas suas mãos.

O que este site guarda sobre uma caixa de entrada pública, e por quanto tempo, está detalhado na página de privacidade — incluindo a frase mais importante de todas: qualquer um que souber um endereço público pode lê-lo.

Perguntas